CVE-2026-116779 — FreeSWITCH — Behoben in 1.11.3
FreeSWITCH ist ein softwaredefinierter Telekommunikations-Stack, der die digitale Transformation von proprietären Telekommunikationsvermittlungen hin zu einer Softwareimplementierung ermöglicht, die auf handelsüblicher Hardware läuft. Vor Version 1.11.3 teilte `sofia_presence_handle_sip_i_message()` den To-Benutzer einer eingehenden SIP-MESSAGE am Pluszeichen auf und behandelte die linke Seite als Auswahl des Chat-Protokolls. Die Auswahl von `api chat proto` führte zu `switch_api_execute()`, sodass ein Peer, dessen MESSAGE akzeptiert wurde, FreeSWITCH-API-Befehle ausführen konnte, einschließlich Betriebssystembefehl-Senken, mit den Berechtigungen des Daemons. Eingehender Chat ist in den Standardprofilen `internal` und `external` aktiviert, und jedes authentifizierte Profilkonto genügt. Standard-Verzeichnisbenutzer ohne Passwortdaten können diese Hürde in betroffenen Konfigurationen ebenfalls umgehen. Die Schwachstelle ermöglicht die Offenlegung von Konfigurationen und Zugangsdaten, beliebige Anrufsteuerung und Befehlsausführung, und eine Ausnutzung wurde in der Praxis beobachtet. Dieses Problem ist in Version 1.11.3 behoben.
Korrigierte Versionen
Wählen Sie die Version für das installierte Produkt und den Versionszweig.
| Produkt | Korrigierte Versionen |
|---|---|
| FreeSWITCH | 1.11.3 |
Aktiv ausgenutzt
- Seit dem 09.11.2026 im CISA-Katalog ausgenutzter Schwachstellen
- US-Bundesbehörden müssen sie bis zum 12.11.2026 beheben (BOD 22-01)
- Erster Angriff 3 Tage nach der Veröffentlichung beobachtet
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Quelle: CISA KEV · 09.11.2026
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBetroffene Produkte
| Hersteller | Produkt | Versionen |
|---|---|---|
| freeswitch | freeswitch | < 1.11.3 |
Verwandte Artikel
This product uses the NVD API but is not endorsed or certified by the NVD.
Die technische Beschreibung ist unsere Übersetzung des englischen NVD-Originaltexts.